中国のAIモデルに関連するブロックチェーンマルウェア指令が440%急増：Chainalysis

Chainalysisは、無制限の中国製オープンソースAIモデルの導入以降、攻撃者がブロックチェーンにマルウェアの指示を投稿する頻度が440%増加したと報告している。1年足らずで、日次の悪意あるオンチェーン書き込みは2.06から11.1に増加した。

この手法は、Chainalysisによって「ブロックチェーン・デッド・ドロップ（BDD）」と呼ばれている。同社は、現在この活動の大半が北朝鮮とイランの国家関連事業者によって生み出されていることを発見した。

検閲耐性がハッキングの資産として利用されるように

最新のレポートによると、Chainalysisはハッカーが以前は悪質なコードを中央集権型サーバーに保存しており、それが押収、ブロック、またはオフラインにされる可能性があったと指摘した。しかし攻撃者は現在、そのようなコードを公開ブロックチェーンに保存している。

「私たちはこの手法を『ブロックチェーン・デッド・ドロップ』（BDD）と呼んでいます。BDDは、感染したデバイスがオンデマンドで取得できるペイロードをオンチェーン取引やスマートコントラクトに保存します。ブロックチェーンの永続性により、脅威アクターのサイバーキャンペーンは長寿命化し、コマンド・アンド・コントロール（C2）リレーを失うことなく compromisedマシンと通信できます」とレポートは述べている。

同社は、脅威は火力ではなく耐久性にあると強調している。キャンペーンは、ドメイン押収、ホスティング停止、リポジトリ削除よりも長持ちする。この手法は2013年に遡り、Necursボットネットの亜種がNamecoinというビットコイン（BTC）フォークにドメインを保存した。

2023年までに、EtherHidingという名前でイーサリアム仮想マシン（EVM）チェーンに登場した。その後、Googleは北朝鮮のUNC5342が偽の就職面接でこの手法を使用しているのを発見した。

最近の急増は、Chainalysisによると2025年半ばに起因している。当時、悪意のあるコードの書き込みに対するガードレールなしに、強力なオープンウェイトの中国モデルがリリースされた。同社によると、これにより、以前はデッドドロップを希少に保っていたスキルの壁が取り除かれた。

現在、その広がりは暗号通貨をはるかに超えている。Netskopeの研究者は、ChainDropサプライチェーン攻撃が2026年8月に440以上のnpmパッケージに影響を与えたと報告している。

北朝鮮、イラン、ロシアのフォーラムがそれぞれ独自のプレイブックを作成

2024年初頭まで、サイバー犯罪者がほぼすべてのデッドドロップ活動に関与していた。2026年第2四半期までに、国家関連グループが毎四半期の新規活動の約3分の2と全体の半分を生み出すようになった。

北朝鮮のUNC5342は現在、3チェーンリレーを運用している。TRON（TRX）とAptos（APT）上のポインターが、感染したデバイスをBNBスマートチェーン上の暗号化デバイスに誘導する。

「攻撃者は新しい取引を公開することでインフラをローテーションし、感染済みのすべてのデバイスが自動的に変更を取得します。運用を妨害するには、3つのチェーンすべてで同時に対処する必要があります」とチームは指摘した。

容疑がかけられているイランの諜報員は、サトシ・ナカモトに関連する既知のアドレスに少額のビットコインを支払う。Chainalysysによると、マルウェアは各取引内のデータを検索し、それをデコードして現在の攻撃者インフラを取得する。

一方、ロシア語を話す犯罪者は、この機能をサービスとして提供している。Polygon（POL）上のオペレーターウォレットが、それぞれ異なる支払い顧客にサービスを提供していると思われる resolver コントラクトのフリートを管理している。

レポートは、防御側が正当なウォレットやアプリをすべて妨害することなくブロックチェーントラフィックを単にブロックすることはできないと指摘している。しかし、攻撃者を保護するのと同じ永続性が、すべての更新を公開台帳に残すことにもなる。

捜査官がその痕跡をAIツールが新しいオペレーターを生み出すよりも速く逮捕に変えられるかどうかが、未解決の問いであり続けている。